IAA202 - Chương 3: Duy trì tuân thủ

Đáp án đúng: "Plan and Organize". Trong COBIT (bản 4.1), 34 quy trình CNTT được gom vào bốn miền theo vòng đời quản trị: miền lập kế hoạch và tổ chức lo phần chiến lược và chiến thuật, tức xác định CNTT đóng góp thế nào vào mục tiêu kinh doanh, kiến trúc thông tin, đầu tư và quản lý rủi ro ở tầm định hướng. "Acquire and Implement" là miền hiện thực hoá chiến lược: xác định, mua sắm, phát triển và tích hợp giải pháp CNTT vào quy trình kinh doanh. "Deliver and Support" là miền vận hành hằng ngày: cung cấp dịch vụ, bảo đảm an ninh, liên tục dịch vụ và hỗ trợ người dùng. "Monitor and Evaluate" là miền giám sát, đánh giá chất lượng và mức tuân thủ của các quy trình theo thời gian, đứng sau khi chiến lược đã được triển khai chứ không đặt ra chiến lược.

Đáp án đúng: "Risk assessments". NIST SP 800-30, tên đầy đủ Guide for Conducting Risk Assessments, hướng dẫn cách tiến hành đánh giá rủi ro cho hệ thống thông tin: chuẩn bị, xác định mối đe doạ, điểm yếu, khả năng xảy ra, tác động và từ đó xác định mức rủi ro. "Maturity levels" là khái niệm mức trưởng thành của các mô hình như CMMI hay COBIT, không phải nội dung của SP 800-30. "A framework of good practices" mô tả đúng hơn các khung như COBIT hay ITIL, tập hợp thực hành tốt cho quản trị và vận hành CNTT. "Certification and accreditation" là quy trình chứng nhận và cấp phép vận hành cho hệ thống liên bang, được NIST hướng dẫn trong tài liệu khác là SP 800-37, không phải trọng tâm của SP 800-30.

Đáp án đúng: "If it is a federal agency". FISMA (Federal Information Security Management Act) là luật Hoa Kỳ buộc các cơ quan liên bang lập chương trình an toàn thông tin, đánh giá rủi ro và báo cáo định kỳ; vì vậy một tổ chức có phải tuân thủ FISMA hay không phụ thuộc vào việc nó có là cơ quan liên bang. "If it is registered with the Securities and Exchange Commission" là điều kiện áp dụng Sarbanes-Oxley Act (SOX) cho công ty niêm yết đại chúng, nhằm bảo đảm báo cáo tài chính trung thực. "If employees handle health-related information" là tiêu chí của HIPAA về bảo vệ thông tin sức khoẻ. "If it receives E-Rate funding" liên quan đến Children's Internet Protection Act (CIPA), áp cho trường học và thư viện nhận trợ giá E-Rate để kết nối Internet.

Đáp án đúng: "An audit". Audit (kiểm toán, đánh giá tuân thủ) là hoạt động có hệ thống, thường do bên độc lập thực hiện, so sánh thực tế vận hành với các quy tắc, chính sách và hướng dẫn nội bộ (hoặc luật, chuẩn bên ngoài) để kết luận tổ chức có tuân thủ hay không. "Threat assessment" là đánh giá mối đe doạ, xác định ai hay cái gì có thể gây hại cho tài sản, không đo mức tuân thủ. "Gap analysis" so sánh trạng thái hiện tại với trạng thái mong muốn để tìm khoảng trống cần bù; nó thường dùng để chuẩn bị cho hoặc theo sau một cuộc kiểm toán, nhưng việc kiểm tra tuân thủ thì chính là kiểm toán. "An audit trail" là nhật ký kiểm toán, bản ghi theo thời gian các hành động trên hệ thống; nó là bằng chứng mà cuộc kiểm toán dùng tới chứ không phải hoạt động kiểm tra tuân thủ.

Đáp án đúng: "18". NIST SP 800-53 revision 4 sắp xếp các kiểm soát an toàn thành 18 họ (family), mỗi họ có mã hai chữ cái, ví dụ AC cho kiểm soát truy cập (Access Control), IR cho ứng phó sự cố (Incident Response) hay CP cho kế hoạch dự phòng (Contingency Planning); cách chia họ giúp tổ chức chọn và kiểm tra kiểm soát theo từng nhóm chức năng. "16" và "21" không khớp với số họ của revision 4; bản revision 5 ra sau có mở rộng số họ lên 20, nhưng câu hỏi nói rõ revision 4. "32" còn xa hơn, có thể bị nhầm với số lượng kiểm soát hay tăng cường trong một họ chứ không phải số họ kiểm soát.

Đáp án đúng: "By implementing automated solutions that complement and enhance existing risk management processes.". Công nghệ như hệ thống GRC (Governance, Risk and Compliance), công cụ quét lỗ hổng hay SIEM giúp thu thập bằng chứng, theo dõi kiểm soát và lập báo cáo tuân thủ nhanh, đều đặn hơn; nhưng đánh giá ngữ cảnh, phán đoán mức chấp nhận rủi ro và chịu trách nhiệm trước cơ quan quản lý vẫn cần con người, nên cách đúng là dùng tự động hoá để bổ trợ và tăng cường quy trình sẵn có. Phương án "By automating risk assessment and mitigation processes completely." sai ở chữ completely: đánh giá rủi ro cần hiểu biết kinh doanh mà máy không tự có. Phương án "By relying solely on automated security tools to detect and respond to threats." sai ở chữ solely, công cụ tự động có báo động giả và bỏ sót, lại chỉ lo phát hiện, ứng phó chứ không bao trùm tuân thủ. Phương án "By replacing human expertise with automated systems for managing risk" đi ngược nguyên tắc giữ con người trong vòng quyết định và trách nhiệm giải trình.

Đáp án đúng gồm bốn ý: "Laws", "Policies", "Regulations" và "Standards". Để hệ thống CNTT an toàn, tổ chức phải tuân thủ cả yêu cầu bên ngoài lẫn bên trong: luật (laws) do nhà nước ban hành, ví dụ luật bảo vệ dữ liệu cá nhân; quy định (regulations) do cơ quan quản lý ngành đặt ra để thi hành luật; chính sách (policies) là cam kết nội bộ của tổ chức về bảo mật; và chuẩn (standards) như ISO/IEC 27001 hay PCI DSS đưa ra yêu cầu cụ thể, đo được. Đây là những văn bản có tính ràng buộc, vi phạm sẽ bị xử phạt hoặc kỷ luật. "Manuals" là sổ tay hướng dẫn sử dụng hay vận hành một sản phẩm, mang tính tham khảo cách làm, không phải nghĩa vụ tuân thủ; tài liệu này có thể giúp cấu hình đúng nhưng không thuộc nhóm yêu cầu bắt buộc mà tổ chức phải đáp ứng.

Đáp án đúng: "Acceptable Use Policy". Chính sách sử dụng chấp nhận được (AUP) là văn bản người dùng phải đọc và ký, quy định họ được và không được làm gì với máy tính, mạng, thư điện tử và Internet của tổ chức, ví dụ cấm cài phần mềm không phép hay truy cập trang trái phép; đây là kiểm soát thủ tục chủ yếu cho miền người dùng (User Domain) và là cơ sở để xử lý vi phạm. "Access User Policy" không phải tên một chính sách chuẩn; quy định quyền truy cập thuộc chính sách kiểm soát truy cập. "Asset Use Policy" nghe gần nghĩa nhưng không phải nghĩa của chữ viết tắt AUP, và việc quản lý tài sản có chính sách riêng. "Acceptance User Policy" ghép sai chữ, đảo ý từ chính sách về hành vi được chấp nhận thành người dùng được chấp nhận, không tồn tại trong quản trị an ninh.

Đáp án đúng: "Health Insurance Portability and Accountability Act (HIPAA)". HIPAA là luật Hoa Kỳ bảo vệ thông tin sức khoẻ, áp cho mọi tổ chức xử lý thông tin y tế như bệnh viện, phòng khám, công ty bảo hiểm y tế và đối tác của họ; luật yêu cầu bảo vệ tính bí mật, toàn vẹn và sẵn sàng của thông tin sức khoẻ cá nhân. "Sarbanes-Oxley Act (SOX)" áp cho công ty đại chúng, nhằm bảo đảm báo cáo tài chính chính xác. "Federal Information Security Management Act (FISMA)" áp cho các cơ quan liên bang và hệ thống thông tin của họ. "Family Educational Rights and Privacy Act (FERPA)" bảo vệ hồ sơ học tập của học sinh, sinh viên tại cơ sở giáo dục nhận tài trợ liên bang, không phải thông tin sức khoẻ nói chung.

Đáp án đúng: "If it receives E-Rate funding". Đạo luật Bảo vệ trẻ em trên Internet của Mỹ (CIPA, Children's Internet Protection Act) áp dụng cho trường học và thư viện nhận tài trợ chương trình E-Rate, khoản giảm giá dịch vụ Internet của liên bang; muốn nhận tiền thì phải có chính sách an toàn Internet và bộ lọc chặn nội dung độc hại với trẻ vị thành niên. "If it is registered with the Securities and Exchange Commission" là điều kiện để công ty đại chúng chịu Đạo luật Sarbanes-Oxley (SOX) về báo cáo tài chính. "If employees handle health-related information" gắn với HIPAA, luật bảo vệ thông tin sức khoẻ. "If it is a federal agency" thuộc phạm vi FISMA, luật quản lý an ninh thông tin của các cơ quan liên bang, không phải CIPA.

Đáp án đúng: "HIPAA". HIPAA (Health Insurance Portability and Accountability Act) là luật của Mỹ áp dụng cho các tổ chức xử lý thông tin y tế như bệnh viện, phòng khám, công ty bảo hiểm sức khoẻ và đối tác của họ; luật đòi bảo vệ tính bí mật, toàn vẹn và sẵn sàng của thông tin sức khoẻ cá nhân, có các quy tắc riêng về quyền riêng tư và an ninh. "SOX" (Sarbanes-Oxley Act) áp dụng cho công ty đại chúng, nhắm vào tính chính xác của báo cáo tài chính và kiểm soát nội bộ. "GLBA" (Gramm-Leach-Bliley Act) áp dụng cho tổ chức tài chính, bảo vệ thông tin tài chính cá nhân của khách hàng. "FISMA" (Federal Information Security Management Act) áp dụng cho cơ quan liên bang Mỹ và nhà thầu của họ, yêu cầu chương trình an ninh thông tin cho hệ thống của chính phủ.

Đáp án đúng: "NIST". National Institute of Standards and Technology (Viện Tiêu chuẩn và Công nghệ Quốc gia Hoa Kỳ) thuộc Bộ Thương mại, có Information Technology Laboratory (Phòng thí nghiệm Công nghệ Thông tin) soạn bộ tài liệu Special Publication 800, trong đó SP 800-30 hướng dẫn đánh giá rủi ro. "DHS" là Department of Homeland Security, Bộ An ninh Nội địa chịu trách nhiệm an ninh quốc gia, không phải đơn vị ra SP 800-30. "NCCIC" là trung tâm tích hợp truyền thông và an ninh mạng quốc gia trực thuộc DHS, chuyên điều phối ứng phó sự cố. "US-CERT" là đội ứng phó khẩn cấp máy tính của Hoa Kỳ, cũng trực thuộc DHS, chuyên cảnh báo và hỗ trợ xử lý sự cố chứ không soạn chuẩn.

Đáp án đúng: "SP 800-34 Rev 1". NIST SP 800-34 Rev. 1 (Contingency Planning Guide for Federal Information Systems) là hướng dẫn lập kế hoạch dự phòng cho hệ thống thông tin, mô tả quy trình gồm xây dựng chính sách, thực hiện BIA, xác định biện pháp phòng ngừa, xây dựng chiến lược và kế hoạch dự phòng, kiểm thử, đào tạo và duy trì kế hoạch. "SP 800-53" là danh mục các biện pháp kiểm soát an ninh và quyền riêng tư; nó có họ kiểm soát về lập kế hoạch dự phòng nhưng không hướng dẫn từng bước làm BIA. "SP 800-37" là hướng dẫn áp dụng khung quản trị rủi ro (Risk Management Framework) cho hệ thống thông tin, với các bước phân loại, chọn, triển khai, đánh giá, cấp phép và giám sát. "SP 800-63" là hướng dẫn về định danh số và xác thực người dùng, không liên quan tới kế hoạch dự phòng.

Đáp án đúng: "ISO 27002 Information Technology Security Techniques". Bộ chuẩn hai phần được mô tả, với Part I nêu mục tiêu và kiểm soát còn Part II dùng để chứng nhận, có gốc từ BS 7799 của Anh rồi phát triển thành họ chuẩn ISO/IEC 27000 về an toàn thông tin. Cần nói thẳng chỗ tranh cãi: ngày nay phần dùng cho chứng nhận là ISO/IEC 27001, còn 27002 là bộ hướng dẫn thực hành kiểm soát; nhưng 27001 không có trong phương án, và ISO 27002 là phương án duy nhất thuộc họ chuẩn an toàn thông tin này nên được chọn. "ISO 73 Risk Management–Vocabulary" chỉ là bộ thuật ngữ quản trị rủi ro, không đặt yêu cầu để chứng nhận. "ISO 31000 Risk Management Principles and Guidelines" đưa ra nguyên tắc và hướng dẫn chung, tự nó không dùng để cấp chứng nhận. "IEC 31010 Risk Management–Risk Assessment Techniques" mô tả các kỹ thuật đánh giá rủi ro như phân tích cây lỗi hay Delphi, không phải bộ yêu cầu tuân thủ.